Tuesday, 24 December 2013

Telegram secret chat geolocation leak.


UPD: I've just received  confirmation from Telegram, that a patched version was released a few  hours ago.  Here is the patch on github.

A few days ago Mr. Durov announced bug bounty for Telegram protocol decryption. Futher it will be shown how private data from a secret chat can be captured without any decryption methods due to a design failure.

Test environment:
- Android 4.3 launched in Virtual Box,
- Wireshark launched on host machine,
- HTC One with Android 4.0.3,
- Telegram 1.3.800 (in virtual box)

Method:
Let's install Telegram and create users Alice and Bob. After that, we are creating acconts in Telegram and adding each device to other's contact list.



Now we are starting a secret chat:



Sending a test message:


As we can see in wireshark - all data goes through SSL, and looks encrypted.

But what if we'll try to send attachment, for example a geolocation? Geolocations of secret chat members could be quit interesting in some cases :)? Let's tap 'send' button...







Bum!! We've got a clear-text TCP session!  Let's take a look a bit closer..





Telegarm uses a default unencrypted google-maps API to resolve map snippet. From a security and anonimity point of view this is THE fail. It means that a person who controls the channel can capture all "geo-attachments" going through a secret chat in both ways (incoming and outgoing) using just a passive sniffer.

In practice,  if  Mr. Snowden will send his geo-location using Telegram to someone, who is under NSA wiretapping, a tomahawk will be enough to make Gen. Alexander satisfied.

101 comments:

  1. Thank you for pointing that out! One of the Telegram apps for Android did use Google Maps in http-mode. The source code is fixed by now by the app developer, and the update is on its way to Play Market.

    Thank you for enabling us to make the Android app more secure.

    Please write us a couple of lines to security@telegram.org, we would like to reward the person who found the bug.

    Merry XMas,
    Telegram Team

    ReplyDelete
  2. This comment has been removed by a blog administrator.

    ReplyDelete
  3. Nice job)))
    Waiting for a response Durov?

    ReplyDelete
  4. After installing telegram App a total stranger appeared on my connection.

    ReplyDelete
  5. i have cracked telegram iOS encrypted messages. Where could i publish the code for it?

    ReplyDelete
  6. can you contact me on captain@rainn.co

    ReplyDelete
  7. Technology is developing by leaps and bounds. The Climate is changing with its own dynamic approach. Today cellular phones especially there functions and Android Apps In Pakistan Has Provided a great charm to technology and all.

    ReplyDelete
  8. This is really awesome. Full of knowledge and latest information about web design.service web design

    ReplyDelete
  9. Great! Thanks for sharing the information. That is very helpful for increasing my knowledge in this fiel
    Red Ball | | duck life | Slitherio
    Red Ball 2 | Red Ball 3 | Red Ball 4

    ReplyDelete
  10. Thanks for sharing with us telegram secrets, its android App is not so good and nor it is up to date, but I don't know about the recent progress of app, whether they fix the problems or not.

    Dental Websites Optimized360 dental websites to flourish your dental practice.

    ReplyDelete
  11. Thanks for the best blog.it was very useful for me.keep sharing such ideas in the future as well.this was actually what i was looking for,and i am glad to came here!
    five nights at freddy's 3 | five nights at freddy's 2 | fireboy and watergirl 3 | 2048 game online | duck life 3 | fireboy and watergirl 6

    ReplyDelete
  12. Very helpful advice in this particular post! It’s the little changes that make the largest changes. Thanks for sharing!
    minecraft 2 | baixar facebook | baixar whatsapp | facebook baixar | baixar photo grid

    ReplyDelete
  13. I really think that you could find a lot of useful info in this spyera review blog

    ReplyDelete
  14. Did you know that it's so easy to be a spy today with that simple hoverwatch app? Check it out!

    ReplyDelete
  15. Recently I've found out how to spy on someones iphone so I want to share my knowledge with you

    ReplyDelete
  16. Thanks for this post Queader! Now I've got to get on and implement more thank you.

    gclub online
    goldenslot
    สูตรบาคาร่า

    ReplyDelete
  17. always care about our members, whether they are old or new. We are open 24 hours a day.


    คาสิโน

    ReplyDelete
  18. play properly. First, you need to understand the rules of the game. It is very useful for playing money games. When we understand what to do, it would be convenient. Watch out for players who have played before, such as in the web has a

    บาคาร่า

    ReplyDelete
  19. Thank you for sharing valuable information.(Good Man)

    SCR888

    ReplyDelete
  20. a pride for me to be able to discuss on a quality website because I just learned to make an article on
    cara menggugurkan kandungan

    ReplyDelete
  21. This comment has been removed by the author.

    ReplyDelete
  22. I try to follow you every step and then tight. It's not even tight. I do not know what to do. I would like to follow tight. สถาบันครอบครัว

    ReplyDelete
  23. www.918kissfun.com/

    ▶#918kiss
    ▶#joker123
    🌟#ACE333
    🌟#scr888
    🌟#slotciti
    🌟#Slot777 (king99)

    สมัครเลย LINE ID : @slot888fun( มี@ ด้วยนะค่ะ)
    ➡ลิ้งค์สมัคร

    https://goo.gl/SbiRuy/

    ReplyDelete
  24. สำหรับคนที่ชื่นชอบการเล่นคาสิโนแล้ว มาถึงวันนี้คงยินดีกันไม่ใช่น้อยใช่ไหม๊ครับ ที่ไม่ต้องเดินทางไกลไปเล่นคาสิโนกันถึงต่างประเทศอย่างที่เคยเป็นมาอีกแล้ว ไม่ต้องเสียเวลา เสียค่าใช้จ่ายในการเดินทาง เสียเงินค่าที่พักกันอีกต่อไป

    ปัจจุบันเทคโนโลยีสื่อสารที่ทันสมัยได้ยกคาสิโนทั้งคาสิโนมาไว้ตรงหน้าคุณ ให้คุณสามารถเล่นคาสิโนออนไลน์ได้ ผ่านหน้าเว็บไซต์ผู้ให้บริการคาสิโนออนไลน์ คุณสามารถเล่นได้ทุกที่ ทุกเวลา ที่คุณต้องการ ไม่พลาดโอกาสที่จะทำเงินจากคาสิโนได้ตลอดวันตลอดคืน เทคโนโลยีสื่อสารที่ทันสมัยนอกจากจะไม่เพียงช่วยทำให้คุณสามารถเล่นคาสิโนออนไลน์ผ่านเว็บไซต์ผู้ให้บริการได้แล้วเท่านั้น ยังช่วยทำให้สามารถเล่น คาสิโนออนไลน์มือถือ ได้อีกด้วย ยิ่งเพิ่มความสะดวกมากยิ่งขึ้นให้แก่ผู้ที่ชื่นชอบการเล่นไม่ต้องพกพาอุปกรณ์สื่อสารอื่นๆ ไปด้วยให้เกะกะ เพียงแค่มือถือของคุณที่พกติดตัวเป็นประจำอันเดียว ก็ช่วยให้คุณสามารถเล่นคาสิโนออนไลน์มือถือได้แล้ว สมัครคาสิโนออนไลน์ มือถือสามารถร่วมเล่นและร่วมสนุกได้เพียงง่ายๆ เพียงแค่คุณดาวน์โหลดแอพริเคชั่น ผู้บริการคาสิโนออนไลน์ มาไว้บนมือถือ ก็จะทำให้คุณสามารถเล่นคาสิโนออนไลน์มือถือผ่านแอพริเคชั่นได้แล้ว ฟังชั่นการทำงานของแอพริเคชั่น คาสิโนออนไลน์มือถือ ใช้งานง่ายไม่ซับซ้อน ให้บริการครบวงจร ที่คุณสามารถใช้ทั้งการฝากเงิน ถอนเงินและเลือกวางเดิมพันกับเกมส์หรือคาสิโนสด ที่มีให้บริการผ่านแอพริเคชั่น ให้ความถูกต้องเที่ยงตรง ให้ความตื่นเต้นเร้าใจ ที่คุณสามารถลุ้นไปเช่นเดียวกับการเล่นคาสิโนออนไลน์ผ่านเว็บไซต์

    ซึ่งคุณสามารถเลือกเล่นได้แบบครบวงจร ทั้งการเล่นคาสิโนออนไลน์ผ่านเว็บไซต์ และเล่นการเล่นคาสิโนออนไลน์มือถือ เพียงแค่คุณเปิดบัญชีเครดิตไว้กับเราเพียงบัญชีเดียวคุณก็สามารถใช้บัญชีที่เปิดไว้ เลือกเล่นได้ทั้งคาสิโนออนไลน์ผ่านเว็บไซต์และคาสิโนออนไลน์มือถือ สะดวก ตื่นเต้น เร้าใจ ไม่ว่าคุณจะเล่นผ่านเว็บไซต์หรือผ่านแอพริเคชั่นบนมือถือ หากคุณเป็นคนหนึ่ง ที่อยากมีชีวิตที่อิสระ และควบคุมตนเองได้ เข้าใจในกฎกติกา เข้าใจในความเสี่ยง และรักการเสี่ยง ซึ่งถ้าเราควบคุมเกมได้ จะทำให้คุณมีอิสระทางการเงิน และความฝัน ตามที่คุณอยากจะได้ อยากจะมี อยากจะเป็น แต่ต้องตั้งมั่นอยู่ในสติ และการใคร่ครวญตัดสินใจที่จะเสี่ยงโชค ในกำลังที่พอเพียง ตั้งกำหนดงบประมาณในการเล่นอย่างมีระเบียบ ระบบ และบริหารจัดการได้อย่างมืออาชีพ แล้วหละก็ นี่แหละ คืออีกรูปแบบของการลงทุนเสี่ยงโชค

    คาสิโนออนไลน์มือถือ

    ReplyDelete
  25. Fashion magazines are more than just fashion. Here is the list of top Fashion Magazines that every fashion-forward woman in India. Thanks you for very nice sharing
    Lifestyle Magazine

    ReplyDelete
  26. We provide international shipping company in delhi ... Logistic Company In Delhi, Sea Freight, Thanks you for sharing
    shipping company in delhi

    ReplyDelete
  27. Sonison packaging Offer High Quality & Best Strength Super Clear Packing Tape at Affordable Prices, Super Clear Tape Manufacturer Supplier Delhi. Thanks you for very nice its sharing
    Colored Packing Tape Manufacturer in Delhi

    ReplyDelete
  28. Get Details of Flooring Tiles Manufacturers And Dealers. ... Heat Resistance Tiles, Heat Resistant Terrace Tiles. Thanks you for sharing
    cement bonder manufacturer in delhi

    ReplyDelete
  29. Ah,so beautiful and wonderful post!An opportunity to read a fantastic and imaginary blogs.It gives me lots of pleasure and interest.Thanks for sharing.
    Find the Interior Designers in Vijayawada

    ReplyDelete
  30. Thanks for sharing this blog, this blog is very helpful information for every one.
    Mobile app Development Company in Noida

    ReplyDelete
  31. Game of the year, playing the most fun online games We enjoy the 918kiss online slot game. Shoot fish online.Bacarrat online. Sic-bo online. Poker online . Thanks for the space That let us introduce the game to your blog Thanks again

    ReplyDelete
  32. Online slot games that are highly popular now. We come to introduce you to Slotciti. It's a game that is easy to play. Real money With a variety of games and international standards Making it highly secure and confident There are many games to choose from.

    ReplyDelete
  33. Most impressive Topic and Blog, this is very helpful Information. thanks for sharing.
    School Management Software in Patna

    ReplyDelete
  34. Thanks for sharing this blog, this blog is very helpful information for every one.
    Mobile app Development Company in Noida

    ReplyDelete
  35. Most impressive Topic and Blog, this is very helpful Information. thanks for sharing

    เล่นหวยหุ้น

    ReplyDelete

  36. really Great article to connect with the support team! Really appreciate your awesome work! Hope to see more informative post… Keep up the awesome work!
    ... VIEW MORE:-
    Website Designing Company in Delhi
    Seo Company in Delhi
    Web Development Company in Delhi
    Web Design Company
    Website Designing Company in india
    Web Designing Company in india

    ReplyDelete
  37. Thanks for sharing this blog, this blog is very helpful information for every one.
    Mobile app Development Company in Noida

    ReplyDelete
  38. Thanks for sharing this blog, this blog is very helpful information for every one.
    Mobile app Development Company in Delhi

    ReplyDelete
  39. I deeply read your article, the points you have mentioned in this article are helpful for me, thank you so much for share with us.
    Jeans Manufacturers in Delhi

    ReplyDelete
  40. I really like to read your blog, the points you have mentioned in this article are helpful for me, thank you so much for share this awesome blog post,
    Truck Branding Services india

    ReplyDelete
  41. Wonderful post! An opportunity to read a fantastic and imaginary blogs, I really like to read your blog, the points you have mentioned in this article are helpful for me, thank you so much for share this awesome blog post,
    web development company in delhi

    ReplyDelete
  42. Wonderful post! An opportunity to read a awesome and imaginary blogs, I really like to read your blog, the points you have mentioned in this article are helpful for me, thank you for share this superb blog with us.
    Motorcycle Tour in Goa

    ReplyDelete
  43. Awesome post! An opportunity to read a awesome and imaginary blogs, It gives me lots of pleasure and interest, I really like to read your blog, the points you have mentioned in this article are helpful for me, thank you for share this superb blog with us.
    Lifestyle Magazine

    ReplyDelete
  44. Awesome post! An opportunity to read a awesome blogs, It gives me lots of pleasure and interest, I really like to read your article, the points you have mentioned in this article are helpful for me, thank you for sharing this blog with us.
    Shipping Company in India

    ReplyDelete
  45. Play online casino. Get real money with gclub at any time, whether you play baccarat, roulette or hilo. This is not counting other promotions that you can win as well. Open to play through. All mobile phones, smartphones Without having to load the add-on program to heavy machines Open daily 24 hours with a quality team With world class service standards

    จีคลับ

    ReplyDelete
  46. gclub Open for service via mobile phone All systems without the need to load extra programs to heavy machines Play as much as possible without minimum - open 24 hours a day, play and get rich with new playing techniques that come to update for members to use to play real money all the time Application is easy, just a few steps. Plus, you can plan your own play because you can play with no minimum through the modern live woven system. Apply today to receive many special promotions.

    ReplyDelete
  47. Nice and interesting post,I appreciate your hard work,keep uploading more, Thank you for sharing valuable information.
    Mobile App Development Company

    ReplyDelete
  48. Oh my goodness! an amazing article. Great work.
    photo editing

    ReplyDelete
  49. I am really happy to say this I am deeply read your article, I am searching like this type valuable information, it’s really helpful for me, I am happy to found it, thank you so much for share this blog, great work, keep sharing like this type of article, thank you so much for read my comment, if any one searching website designing company in India please visit my website
    Website Designing Company in Delhi

    ReplyDelete
  50. Nice and interesting post,I appreciate your hard work,keep uploading more, Thank you for sharing valuable information.
    Mobile App Development Company

    ReplyDelete
  51. I am happy to be here and this wonderful article. I have found here lots of interesting information for my knowledge I need. all the details you provide to us, it was very helpful and useful, thanks for sharing this post.
    remove background from photos

    ReplyDelete
  52. شركة تسليك مجاري بالاحساء
    تعتبر شركة تسليك مجاري بالاحساء من الشركات الرائدة في مجال خدمات تسليك المجاري، كما توفر الشركة مجموعة كبيرة من الأجهزة الخاصة القادرة على التعامل مع أصعب درجات الانسداد بكل سهولة ويسر، وتنصح شركة تسليك مجاري بالإحساء بالاهتمام الدائم بنظافة البيارات وتنظيف جميع جوانب البيارة لمنع حدوث انسداد للمجاري بشكل مفاجئ، وتنصح الشركة بعدم القاء الفضلات داخل أماكن الصرف لمنع تراكم الدهون والفضلات مما يترتب عليه تكون مواد صلبه داخل البيارات يصعب التعامل معها بشكل عادي ويدعو لتدخل شركة تسليك متخصصة، كما تؤكد الشركة على ضرورة تنظيف البيارة من الداخل بشكل دائم لضمان عدم حدوث أي مشاكل في الصرف.

    ReplyDelete
  53. Thanks for sharing valuable Information, I really very impressive on your blog. I hope you continue on blogging job.
    Mobile App Development Company in Mumbai

    ReplyDelete
  54. Great Blog. I am daily reader of your blog. Thanks for a useful information! Professional Mobile App Development Company in Noida at https://www.teknikoglobal.com/

    ReplyDelete

  55. شركة تنظيف عمائر بالمدينة المنورة
    عزيزي العميل توفر لك شركة تنظيف عمائر بالمدينة المنورة العديد من المزايا التي تختص بها والتي تحقق لك من خلالها كل احتياجاتك و يعمل ضمن مواردها البشرية فريق من عمال النظافة مدربون تدريب عالي المستوى لكي يحققون النظافة الشاملة سواء الغرف أو الحمامات أو الجدران أو المطابخ وتمتلك الشركة أجهزة متطورة في أعمال جلي البلاط و أيضاً ماكينات الغسيل بالبخار كما تمتاز بأنه يوجد لديها من خدمات تنظيف بأنها تناسب كافة عملائها و تستعين بأحدث المعدات في التنظيف و لدينا أيدي عاملة ماهرة يمكنها بكل اتقان استخدام تلك المعدات و الاستخدام الأمثل لمواد التنظيف التي صنعت خصيصاً لتنظيف الأرضيات و الحمامات دون التأثير عليها .

    ReplyDelete
  56. Great Blog. I am daily reader of your blog. Thanks for a useful information! http://clippingpathindie.com/retouching.html

    ReplyDelete
  57. Thanks for sharing such a nice thing

    Gclub

    ReplyDelete
  58. Excellent Post as always you have a great post and i like it . keep it up


    Gclub Royal1688

    ReplyDelete
  59. Best post . look so good


    โปรโมชั่นGclub ของทางทีมงานตอนนี้แจกฟรีโบนัส 50%
    เพียงแค่คุณสมัคร Gclub กับทางทีมงานของเราเพียงเท่านั้น
    ร่วมมาเป็นส่วนหนึ่งกับเว็บไซต์คาสิโนออนไลน์ของเราได้เลยค่ะ
    สมัครสมาชิกที่นี่ >>> Gclub online

    ReplyDelete
  60. Thanks for sharing away



    เว็บไซต์คาสิโนออนไลน์ที่ได้คุณภาพอับดับ 1 ของประเทศ
    เป็นเว็บไซต์การพนันออนไลน์ที่มีคนมา สมัคร Gclub Royal1688
    และยังมีเกมส์สล็อตออนไลน์ 1688 slot อีกมากมายให้คุณได้ลอง
    สมัครสมาชิกที่นี่ >>> Gclub Royal1688

    ReplyDelete
  61. Thank you for your information

    STEPSBOBET เว็บแทงบอลออนไลน์ คาสิโนออนไลน์ ที่ดีที่สุดอันดับ 1 สมัคร sbobet แทงบอลสเต็ป กีฬาออนไลน์ บาคาร่าออนไลน์ สล็อตออนไลน์ ครบวงจร ให้บริการเดิมพันออนไลน์ทุกประเภท มีความน่าเชื่อถือ
    เว็บแทงบอลออนไลน์อันดับ 1
    สมัคร sbobet
    สมัคร Lsm99
    สมัคร Sclub
    สมัคร Ace333
    สมัคร League88 ลีค88
    สมัคร Gclub
    สมัคร King99
    เว็บแทงบอลออนไลน์ คาสิโนออนไลน์ อันดับ 1

    ReplyDelete
  62. This comment has been removed by the author.

    ReplyDelete
  63. I feel happy about and learning more about this topic. keep sharing your information regularly for my future reference. This content creates new hope and inspiration within me. Thanks for sharing an article like this. the information which you have provided is better than another blog.
    Best IELTS Coaching institute in Dwarka
    Best IELTS Coaching centre in Dwarka

    ReplyDelete
  64. Keep more update about this topic, your blog is really interesting and valuable. Get website designing services by ogen infosystem.
    SEO Service in Delhi

    ReplyDelete